Fuente base de datos: Wordfence Intelligence

Advanced Custom Fields (Free and Pro) 5.8.10 to 5.12.5 & 6.0.0 to 6.1.5 - Reflected Cross-Site Scripting via 'post_status'

PLUGIN MEDIUM CVE-2023-30777

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Advanced Custom Fields, afectando a versiones desde la 5.8.10 hasta la 6.1.5. Esta falla puede permitir a un atacante inyectar scripts maliciosos a través del parámetro 'post_status'.

Contexto técnico

La vulnerabilidad se origina en el manejo inadecuado de la entrada del usuario en el parámetro 'post_status', permitiendo que se reflejen scripts maliciosos en la respuesta del servidor. Esto se traduce en una superficie de ataque que puede ser aprovechada por atacantes para ejecutar código en el navegador de un usuario que visualiza una página afectada.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el contexto del navegador de la víctima, lo que podría llevar al robo de información sensible, suplantación de identidad o redirección a sitios maliciosos. Esto podría comprometer la seguridad general del sitio y la confianza de los usuarios.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes manipuladas que incluyen un payload malicioso en el parámetro 'post_status'. Cuando un administrador o usuario accede a la página afectada, el script se ejecuta en su navegador.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Advanced Custom Fields a la versión 5.12.6 o posterior. Además, se sugiere implementar medidas de seguridad adicionales como la validación y sanitización de entradas, así como el uso de Content Security Policy (CSP).

Señales de detección

Se pueden detectar intentos de explotación observando patrones inusuales en las solicitudes HTTP que incluyan el parámetro 'post_status' con contenido sospechoso o scripts. También es recomendable monitorizar logs de acceso en busca de actividades anómalas.

Alcance afectado

Las versiones del plugin Advanced Custom Fields desde la 5.8.10 hasta la 6.1.5 son las que presentan esta vulnerabilidad. Esto incluye tanto la versión gratuita como la versión Pro del plugin.